「RADMIN」と「MIMIKATZ」を利用して仮想通貨発掘マルウェアを送り込む攻撃を確認、SMBの脆弱性を利用して拡散

【ブログ】

◆「RADMIN」と「MIMIKATZ」を利用して仮想通貨発掘マルウェアを送り込む攻撃を確認、SMBの脆弱性を利用して拡散 (Trendmicro, 2019/02/27)
https://blog.trendmicro.co.jp/archives/20418

【関連まとめ記事】

◆全体まとめ
　◆ツール (まとめ)
　　◆ラテラルムーブメントツール (まとめ)

◆Mimikatz (まとめ)
https://malware-log.hatenablog.com/entry/Mimikatz

【インディケータ情報】

■ハッシュ情報(Sha256)

bdbfa96d17c2f06f68b3bcc84568cf445915e194f130b0dc2411805cf889b6cc
d41e371d15ef33bdbf1a2011c27e2475cd9ad492b3cb64489ac7047dbadffeb2
d943bc6dc7614894cc1c741c6c18ac2dbd2c5069f3ab9bc9def5cc2661e54dee
3c2fe308c0a563e06263bbacf793bbe9b2259d795fcc36b953793a7e499e7f71
735d9699b69b3ae2d27cbf452d488e1d1adbe643c8228e7093d012bf7fcff6de
01b842cab76c78a1d9860ade258923772fe3b08ae7a428d5f54e1bf9d9c3b205

■FQDN

dl[.]haqo[.]net/ins2.exez
i[.]haqo[.]net/i.png
ii[.]haqo[.]net/u.png
o[.]beahh[.]com/i.png
p[.]abbny[.]com/im.png
v[.]beahh[.]com/v

■IPアドレス

132[.]162[.]107[.]97/xmrig-32_1.mlz
139[.]162[.]107[.]97/h.bat
153[.]92[.]4[.]49